A empresa Veracode publicou os resultados de um estudo sobre os problemas de segurança causados pela incorporação de bibliotecas abertas em aplicativos (em vez de vinculação dinâmica, muitas empresas simplesmente copiam as bibliotecas necessárias para seus projetos). A varredura de 86 mil repositórios e a pesquisa de cerca de dois mil desenvolvedores revelaram que 79% das bibliotecas de terceiros incorporadas ao código dos projetos nunca são atualizadas.
Neste contexto, o código desatualizado das bibliotecas se torna a causa de problemas de segurança, dos quais 92% podem ser evitados com uma simples atualização da biblioteca. As desculpas de que as bibliotecas não são atualizadas devido a possíveis problemas de compatibilidade são, na maioria dos casos, infundadas, já que em 69% dos casos as vulnerabilidades foram corrigidas em lançamentos corretivos não relacionados a alterações de funcionalidade.
A comunicação sobre a ocorrência de vulnerabilidades também tem um impacto — se os desenvolvedores foram informados sobre um problema na biblioteca, em 17% dos casos a questão foi resolvida em uma hora, e em 25%, em uma semana. Com informações sobre como a vulnerabilidade na biblioteca pode comprometer o aplicativo, 50% das correções foram lançadas em até três semanas, enquanto sem essas informações, a correção da vulnerabilidade esperava-se por sete meses ou mais. Um quarto dos desenvolvedores entrevistados declarou que, ao escolher uma biblioteca para integração, a principal atenção se concentra na funcionalidade e na licença do código, e a segurança é considerada apenas depois.
Notavelmente, a situação com a verificação das licenças do código não é melhor — 54% dos entrevistados admitiram que nem sempre verificam a licença da biblioteca antes de integrá-la em seu produto. Apenas 27% dos entrevistados praticam a verificação obrigatória da compatibilidade da licença.
Fonte: opennet.ru
